Articles

Medtronic a publié début octobre 2018 une mise à jour logicielle d’environ 34 000 de ses dispositifs de programmation Carelink, permettant aux professionnels de santé d’accéder à distance au pacemakers implantés. Le groupe américain a pris cette décision car il a estimé que le système n’était pas conforme aux normes de sécurité et pouvait ainsi faire l’objet de cyberattaques.

Dans une note d’information publiée le 11 octobre 2018 (en lien ci-contre), la division « communication de sécurité » de la Food and Drug Administration (FDA) a informé que l’industriel a mis en place cette procédure dans l’optique de réduire les risques pour la sécurité liés « aux vulnérabilités en matière de cybersécurité associées à la connexion internet » entre les modèles 2090 et 29901 des programmateurs Medtronic Carelink et Carelink Encore, utilisés pour télécharger des logiciels à partir du réseau de distribution Medtronic.

« Cette mise à jour est une correction (rappel volontaire) du fabricant pour remédier au risque de [cyberattaque], explique la FDA, qui revient en détail sur la faille et émet diverses recommandations aux professionnels de santé et aux patients concernés. Aux fins de la présente communication sur la sécurité, la cybersécurité vise à protéger des menaces imprévues ou non autorisées les dispositifs médicaux des patients et les ordinateurs, réseaux, programmes et données associés. »

Public concerné :

• patients porteurs d’un appareil d’électrophysiologie implantable cardiaque (CIED) Medtronic    
• soignants de patients atteints d’un CIED Medtronic ;
• cardiologues, électrophysiologistes, chirurgiens cardiologues et médecins de soins primaires traitant des patients souffrant d’insuffisance cardiaque ou de troubles du rythme cardiaque par le biais d’un système Medtronic CIED.

Présentation du dispositif concerné

Les programmateurs Medtronic Carelink et Carelink Encore (modèles 2090 et 29901) sont utilisés lors de l’implantation et lors de visites de suivi régulières pour les dispositifs électrophysiologiques implantables cardiaques Medtronic (CIED).

Les CIED incluent des stimulateurs cardiaques afin de stimuler les rythmes cardiaques lents, des défibrillateurs implantables pour provoquer un choc électrique ou une stimulation afin de ralentir les rythmes cardiaques trop rapides, des dispositifs de resynchronisation cardiaque pour stimuler le cœur afin d’améliorer la contraction pour traiter l’insuffisance cardiaque et des moniteurs cardiaques insérables pour la surveillance cardiaque à long terme des rythmes cardiaques irréguliers ou anormaux.

Les programmeurs Medtronic permettent aux médecins d’obtenir des données

Les programmeurs Medtronic permettent aux médecins d’obtenir des données sur les performances de l’appareil, de vérifier l’état de la batterie et d’ajuster ou de reprogrammer les paramètres de l’appareil à partir d’un CIED, explique la FDA dans sa notice d’information.

Le cas échéant, le personnel de Medtronic a également recours aux programmeurs pour mettre à jour le logiciel du dispositif implanté. Le logiciel du programmateur peut être téléchargé et mis à jour via une connexion internet au réseau SDN (Medtronic Software Distribution Network) ou à l’aide d’un représentant de Medtronic connectant un périphérique USB au programmateur.

Résumé du problème et de sa portée

Un utilisateur non autorisé pourrait modifier les fonctionnalités du programmateur

« La FDA a examiné des informations sur les vulnérabilités potentielles de cybersécurité associées à la connexion internet des programmeurs de Medtronic et a confirmé que ces vulnérabilités pourraient permettre à un utilisateur non autorisé (c’est-à-dire, une personne autre que le médecin du patient) de modifier les fonctionnalités du programmateur ou le dispositif implanté au cours de la procédure d’implantation du dispositif ou lors des visites de suivi », a déclaré l’organisation.

Les programmeurs ne vérifient pas qu’ils sont toujours connectés au VPN avant de télécharger les mises à jour

Plus précisément, cette vulnérabilité de cybersécurité est associée à l’utilisation d’une connexion internet pour mettre à jour le logiciel entre les programmeurs Carelink et Carelink Encore et le SDN.

« Les mises à jour logicielles incluent normalement un nouveau logiciel pour les fonctionnalités du programmeur, ainsi que des mises à jour du micrologiciel du périphérique implanté. Bien que le programmeur utilise un réseau privé virtuel (VPN) pour établir une connexion internet avec le SDN Medtronic, la vulnérabilité identifiée avec cette connexion est due au fait que les programmeurs ne vérifient pas qu’ils sont toujours connectés au VPN avant de télécharger les mises à jour. »

La FDA approuve la mise à jour du réseau Medtronic

Pour remédier à cette vulnérabilité en matière de cybersécurité et améliorer la sécurité des patients, la FDA a approuvé le 5 octobre 2018 la mise à jour du réseau Medtronic par Medtronic, « qui empêchera intentionnellement le programmeur existant d’accéder au SDN de Medtronic ».

« Pas de cas connu de préjudice causé aux patients »

À ce jour, il n’y a pas eu de cas connu de préjudice causé aux patients par ces vulnérabilités en matière de cybersécurité, précise la FDA. « Il n’y a aucune mise à jour des programmeurs Carelink 2090 ou Carelink Encore 29901 pour le moment. Cependant, Medtronic s’efforce de créer et d’implémenter des mises à jour de sécurité supplémentaires afin de mieux traiter ces vulnérabilités. »

Les recommandations de la FDA pour les fournisseurs de soins

• Continuer à utiliser les programmeurs pour la programmation, les tests et l’évaluation des patients CIED. La connectivité réseau n’est pas requise pour la programmation CIED normale et une opération similaire.
  > Les autres fonctionnalités fournies par Medtronic qui nécessitent des connexions réseau ne sont pas affectées par ces vulnérabilités (par exemple, SessionSync). Il est possible de continuer à utiliser ces fonctionnalités.  
• Ne pas tenter de mettre à jour le programmeur via le SDN. Si le bouton « Installer à partir de Medtronic » est sélectionné, l’installation du logiciel ne sera pas possible car l’accès au SDN externe n’est plus disponible.
  > Les futures mises à jour du logiciel du programmeur doivent être reçues directement d’un représentant de Medtronic avec une mise à jour USB.
• Garder le contrôle des programmeurs au sein de son établissement à tout moment, conformément aux politiques informatiques de l’hôpital.
• Exploiter les programmeurs au sein de réseaux informatiques bien gérés. Consulter son service informatique concernant la sécurité de son réseau. Pour connaître les mesures recommandées pour mieux sécuriser son environnement réseau, consulter la page https://www.nist.gov/cyberframework ou à d’autres guides de cybersécurité applicables.
• La reprogrammation ou la mise à jour des CIED n’est pas nécessaire à la suite de cette correction et le remplacement prophylactique des CIED n’est pas recommandé.

Ni2o pour Neuron Input to Output, une start-up en train de développer et de tester un implant cérébral visant à traiter les effets des maladies neurodégénératives, a été officiellement accueillie à l’Institut du cerveau et de la moelle épinière (ICM) au sein du complexe hospitalier de Pitié-Salpêtrière, à Paris, le 18 octobre 2018.

L’implant, qui mesure 1,9 sur 2,2 millimètres et pèse moins de 2 grammes comporte une puce informatique dotée de circuits permettant l’apprentissage profond et une communication d’informations vers et en partance des neurones. La communication se fait grâce à une centaine de milliers d’électrodes en nanotube de carbone – un matériel biocompatible – via un signal électrique ou bien lumineux, par le biais d’une dizaine de milliers de diodes électroluminescentes (LED) miniatures qu’englobe l’implant.

Cette technologie mini-invasive vise à traiter et à réduire les effets des maladies neurodégénératives. C’est avant tout un traitement dans le cadre de la maladie de Parkinson qui est ciblé par le premier implant, dont la commercialisation n’est attendue que d’ici quelques années.

Ni2o espère accélérer le développement de Kiwi grâce à un partenariat avec la start-up Novai, une spin-off d’Ericsson.

Ni2o propose une interface cerveau-machine pilotée par l’IA

Newton Howard, chercheur qui dirige le Synthetic Intelligence Lab du Massachusetts Institute of Technology, aux États-Unis, et le Computational Neuroscience Lab de l’université d’Oxford, au Royaume-Un, est le CSO de la start-up et est spécialiste en neurosciences.

Ils sont trois fondateurs. Aux côtés de Newton Howard, on retrouve Richard Wirt, CTO de la start-up et ancien vice-président d’Intel, et Russell Hayward, P.-D.G., qui a accompagné de nombreuses start-ups dans la résolution des exigences techniques dans le domaine des hautes technologies.

Des brevets valant plus de 436 millions d’euros (500 millions de dollars)

Ni2o dispose d’un recueil de 18 brevets à ce jour qui valent environ 436 millions d’euros. Ils portent entre autres sur la technologie des nanotubes de carbone qui permettent un échange bidirectionnel de données avec le cerveau.

L’implant Kiwi est également dotée d’une intelligence artificielle (IA) qui va être entraînée à partir des signaux envoyés par le cerveau et qui pourra envoyer des signaux électriques et optiques aux zones définies précisément, avec des algorithmes qui détermineront la meilleure réponse thérapeutique et qui seront continuellement améliorés par apprentissage automatique.

Commercialisation de l’implant associé à une plateforme de données

À terme, Ni2o souhaite vendre l’implant et procéder à la collecte et à l’analyse continue des données.

Ces données permettront de faire une cartographie du cerveau à haute résolution menant à des opportunités supplémentaires.

Par ailleurs, l’implant a été conçu de façon à pouvoir être utilisée pour traiter un large éventail de maladies neurodégénératives en fonction de son emplacement dans le cerveau et le logiciel qui lui est associé. Cette caractéristique doit permettre l’accélération des processus réglementaires en vue d’obtenir les autorisations de commercialisation.

À plus long terme, des applications en vue de l’optimisation cognitive pourront être envisagées ainsi que la possibilité de procéder à des traitement via des dispositifs portables.

Une alternative à la chirurgie lourde qui réduit les risques opératoires

La procédure associée à l’implant Kiwi est faiblement invasive. Au lieu de nécessiter l’ouverture du crâne et le positionnement de l’implant grâce à une sonde, elle requière un passage par la cavité nasale en réduisant le risque d’infections nosocomiales et en divisant par 7 la durée de l’intervention : qui passe de 14 heures à 2 heures.

Une IA au service du cerveau réparé et non du cerveau augmenté

Cédric Villani, chargé du plan de développement de l’intelligence artificielle en France, s’est rallié à la cause de Ni2o et était présent à l’inauguration pour exprimer son soutien au projet.

Il a souligné la capacité de l’IA à générer du progrès dans les champs d’application les plus divers. Il l’explique par son modèle de développement qui repose sur la collaboration entre équipes scientifiques de pointe et les experts d’un champs spécifique dans une approche de capitalisation de connaissances existantes dans le domaine en question.

Réparer pour rendre la dignité

Cédric Villani a anticipé les questions d’ordre éthique en avançant que les projets scientifiques et médicaux n’avaient pas pour objet l’homme bionique ou l’homme augmenté mais l’homme qui a besoin d’être réparé. Selon lui, le projet porté par Ni2o est l’exemple parfait de comment nous pouvons procéder à une réparation des inégalités causées par une maladie grave pour plus de solidarité et d’espoir.

Dans le même esprit, Newton Howard a avancé au cours de son intervention que « l’objectif [n’était] pas de faire de l’homme augmenté mais [de] s’occuper de ce qui [était] endommagé et [de] restaurer la dignité humaine ».

« L’Homme régresse, nous souhaitons l’aider à recouvrer ses pleines capacités, [à] réduire le déficit d’attention, [à] limiter l’impact des maux qui détériore son cerveau tels que les maladies neurodégénératives. Nous préférons donc parler « d’Homme réparé » plutôt que d’Homme augmenté. Nous ne créons pas de cyber-humain, nous lui offrons simplement la possibilité de jouir à nouveau pleinement de ses capacités cognitives », a-t-il par ailleurs déclaré.

Le soutien de tout l’écosystème recherche et start-ups français

Un écosystème de recherche et de soutien aux start-ups attractif

D’autres acteurs tels Nicolas Crespelle, président de Quadrivium Ventures Sorbonne Université, et Nicolas Carboni, directeur deep tech de Bpifrance, sont venus exprimer leur soutien à la nouvelle start-up et vanter les avantages de l’écosystème parisien et français.

L’une des raisons qui a poussé Ni2o à venir s’installer en France est la qualité de l’écosystème de la recherche scientifique et médicale français. Sa volonté de devenir leader de la deep tech et de l’IA a été encourageante en ce sens, selon Newton Howard. Le soutien sous forme d’accompagnement et d’incubation au sein de l’ICM ainsi que le soutien financier de Bpifrance les a décidés.

Il a jugé que la qualité des chercheurs et leur maîtrise de l’intelligence artificielle, au meilleur niveau mondial, va être bénéfique au perfectionnement de Kiwi à la croisée de diverses disciplines scientifiques et nécessitant une approche multidisciplinaire. L’ICM va incuber la start-up mais également accueillir ses tests cliniques.

La France se doit d’être acteur en neurosciences

Nicolas Crespelle, président de Quadrivium Ventures Sorbonne Université, a déclaré que Paris était le plus grand campus du monde avec l’ensemble de ses universités et de ses écoles et qu’il suffira de mettre de bons outils à la disposition des chercheurs pour les faire venir.

Il insiste sur la nécessité de s’impliquer dans l’évolution qui est en train de s’opérer dans le domaine des neurosciences et d’en devenir leader (« Be a player« , a-t-il déclaré dans son intervention en anglais).

Bpifrance et ses dispositifs de soutien fninancier

Nicolas Carboni, directeur deep tech à Bpifrance a souligné la complexité de la recherche scientifique française et a appelé à une simplification des processus de transfert de brevets de propriété intellectuelle notamment.

Selon lui, les deux points fondamentaux pour attirer davantage de chercheurs sont :

• la création d’une structure unique représentant les acteurs français de la recherche qui puisse agir et signer des accords avec une start-up ainsi qu’une gestion mutualisée des brevets permettant l’accélération des transferts qui prennent actuellement jusqu’à un an demi ;
• la mise à disposition de fonds rapidement mobilisables par les start-ups, ce qui est déjà l’objet des activités de Bpifrance.

Nicolas Carboni a annoncé à ce sujet le lancement d’un nouveau dispositif de financement début 2019 à destination des start-ups pour leur permettre de démarrer ce qu’il appelle la French Tech Seed.

Soutien financier : 1,4 millions d’euros levé et un prêt de Bpifrance

La start-up a jusqu’à présent levé 1,4 million d’euros (1,6 million de dollars américain à l’origine) et a obtenu un prêt de Bpifrance à ce stade. Le montant total de ce dernier n’a pas été dévoilé mais Health & Tech Intelligence a obtenu l’information qu’il s’agissait de « quelques centaines de milliers d’euros« .

D’autres levées de fonds sont prévues pour mener le projet à bien et surtout accélérer son aboutissement et sa commercialisation.